ISMS実施項目の順序｜ITパスポート 令和8年 公開問題 問93
出典：令和8年 公開問題 問93
分野：技術要素 ／ セキュリティ
次のISMSにおける実施項目のうち，最初に行うものはどれか。
- ア：ISMSの適用範囲の決定
- イ：情報セキュリティリスクアセスメント
- ウ：情報セキュリティリスク対応
- エ：内部監査
TSUNAGARU-ADVICE
まず押さえたいこと
ISMSの導入は、適用範囲の決定という準備段階から始まります。これにより管理対象の情報資産が明確になります。
迷ったときの判断軸
リスクの評価や対応は、対象がはっきりしてから行う工程であることを意識すると正しい順序がわかります。
次の学習につなげるために
適用範囲の決定を正しく理解することは、その後のリスクアセスメントやシステム監査の理解に直結しますので、順序を押さえておきましょう。
ISMS（情報セキュリティマネジメントシステム）は、組織の情報資産を保護するために体系的に運用される管理システムです。ISMSの実施項目には、適用範囲の決定、リスクアセスメント、リスク対応、監査などがあります。
ISMSの導入プロセスでは、まず組織でISMSを適用する範囲を明確に決定することが出発点です。適用範囲の決定は組織のどの部分にISMSを導入し、管理すべき情報資産が何かを明確にする作業です。この範囲を定めることで、後続のリスクアセスメントやリスク対応の対象が決まり、効果的な管理が可能となります。
したがって、アが適切です。
❌他選択肢が誤りの理由
イ：情報セキュリティリスクアセスメント
⇒リスクアセスメントは適用範囲の決定後に行われ、その範囲内のリスクを評価します。
ウ：情報セキュリティリスク対応
⇒リスク対応はリスク評価結果を受けて実施するもので、初期段階で行うものではありません。
エ：内部監査
⇒内部監査は運用開始後のチェックや改善のために行うものであり、最初に行うものではありません。